Ring0中Hook SSDT防止进程被结束

• 作者: 牵着蜗牛去散步
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: 进程句柄 HOOK WIN32API 反病毒 PID 软件
• 年，卷（期）: 2008,（9）
• 页码范围: 75-78
• 页数: 4页
• 分类号: TP311.11

摘要

在上期的文章中，我们讲到了如何在Ring0中强行结束进程，但有了攻的方法，我们还要知道如何防守。进程防杀在反病毒、流氓软件中都有着广泛的应用，我们都知道在Ring3中结束进程使用TerminateProcess（）这个Win32API到了Ring0中，使用的则是ZwTerminateProcess来结束，但是ZwTerminateProcess并没有指明被结束进程的PID，唯一的参数只有传入的进程句柄，